國家互聯(lián)網信息辦公室近期宣布我國即將推出網絡安全審查制度，將對關系國家安全和公共利益的系統(tǒng)使用重要信息技術產品和服務進行網絡安全審查。這是在今年初中央網絡安全和信息化領導小組成立后，我國在網絡安全領域推出的一項戰(zhàn)略性舉措，對于維護國家網絡安全、建設網絡強國具有重大推動作用。
這意味著我國網絡安全管理的視野進一步擴大，更加強調對形成網絡安全基本要素的技術和產品的管控與規(guī)制。網絡安全審查制度的出臺對于構筑我國全方位、立體、綜合網絡安全保障能力有著十分重大的意義，對于加強我國網絡安全自主創(chuàng)新能力、激發(fā)產業(yè)創(chuàng)新也有著十分積極的推動作用。
互聯(lián)網是現(xiàn)代信息技術高度發(fā)展的產物，中國在加入網絡大潮、分享到互聯(lián)網絡高速發(fā)展帶來的巨大社會經濟效益的同時，也承受著隨之而來的風險。尤其是由于產業(yè)格局不對等，在中國的信息化建設中，大量使用國外產品，特別是美國的“八大金剛”（微軟、思科等8家美國公司）的計算機和網絡設備產品，未經審查卻大量部署在我國基礎網絡和重要信息系統(tǒng)中，種種“漏洞”和預置的“后門”給我國的關鍵信息基礎設施帶來很大威脅。正如“棱鏡門”事件所揭示的，包括我國前領導人在內的重要網絡信息均受到美國情報機構的監(jiān)控。
為應對這種嚴峻的形勢，國家在制度層面強化對網絡技術產品的規(guī)制管控，對于加強我國關鍵信息基礎設施保障能力，無疑十分必要而且勢在必行?？v觀美國、歐盟，在大力發(fā)展ICT（信息通信技術）產業(yè)的同時，均建立了類似的技術產品審查制度，均規(guī)定凡是政府信息系統(tǒng)中采購的設備必須經過相應的技術審查和產品認證。我國推出這一審查制度，符合國際趨勢及網絡發(fā)展的客觀規(guī)律。
技術和產品本身的安全是構筑網絡安全的基本前提，從技術和產品層面實施安全審查，可謂是正本清源，抓住了網絡安全治理的要害和關鍵。其中，相對于產品安全而言，技術安全還要更為基本。從ICT產業(yè)規(guī)律而言，往往是技術發(fā)明在先，相應的工程實現(xiàn)和產品開發(fā)在后。計算機、服務器、網絡設備集成了大量事先發(fā)明的技術，才具備計算和聯(lián)網通信的能力。如果說計算機、服務器和網絡設備是“面包”的話，集成在這些產品中的“芯片架構”、“網絡協(xié)議”、“安全協(xié)議”等基礎技術就是 “小麥種子”，由它種出小麥，進而加工成面包。
因此，在我們貫徹實施網絡安全審查制度之時，尤其要重視“種子”層面的審查規(guī)制，在謹防“毒面包”的同時，還要加大力氣解決管控“毒種子”的問題。很多時候，“毒種子”比“毒面包”更可怕，其散播面更廣，隱藏更深，因此危害更大。
就構成網絡安全的基本技術層面而言，我國目前使用的網絡基礎安全技術都是美國政府和企業(yè)主導開發(fā)的，比如保證網絡安全連接和數(shù)據(jù)安全傳輸?shù)木W絡安全協(xié)議技術；銀行網銀使用的認證技術和簽名技術。大量這類未經嚴格技術審查的基礎安全技術，廣泛應用在我國的基礎網絡和重要信息系統(tǒng)中。有些技術在近些年陸續(xù)被驗證有重大安全漏洞，如近期曝光的“SSL心臟出血漏洞”等，對我國政府、企事業(yè)單位和廣大網民造成極大的網絡威脅和安全隱患；斯諾登披露的文件也顯示出，美國國家安全局等情報機構正是利用IPSec、SSL等技術漏洞設置后門和實施網絡監(jiān)控的。
這些網絡基礎安全技術在技術方案本身及其工程實現(xiàn)的軟件代碼層面，均存在嚴重的“漏洞”。這些“漏洞”很大程度上是蓄意為之。這些漏洞不同于普通應用軟件和網絡設備中的“后門”，其影響范圍之廣、危害程度之深超出想象。技術方案層面的漏洞能夠通過產業(yè)鏈逐級傳遞，好比種子有毒，從麥子到面粉到饅頭，全產業(yè)鏈都受到污染。因此，解決網絡安全核心技術問題，需從網絡安全協(xié)議等網絡基礎安全技術這一國家戰(zhàn)略資源抓起。
這一問題的重要性在中美之間圍繞WAPI標準長達十余年的博弈中可見一斑：中國推出自主可控的網絡安全協(xié)議技術標準WAPI之后，美國3位內閣部長聯(lián)名致信我國政府，并連續(xù)在中美貿易談判中施壓，要求中國放棄WAPI標準，背后深層的原因是美國認識到在產業(yè)鏈源頭掌握基礎安全技術控制力的重要性及戰(zhàn)略意義。
從技術源頭保證網絡安全的自主可控，才能從根本上加強我國網絡安全的縱深防御能力。因此，網絡安全審查制度的貫徹落實須從產業(yè)鏈源頭抓起，除了要對計算機、服務器、路由器等計算機網絡設備及其操作系統(tǒng)和應用軟件行審查之外，還要加強對網絡安全協(xié)議等基礎安全技術的審查規(guī)制。（作者：曹軍 無線網絡安全技術國家工程實驗室主任、中國計算機行業(yè)協(xié)會副會長）
